AUTORITÉ
DE SÛRETÉ
NUCLÉAIRE
DIVISION DE LYON
Lyon, le 24 mai 2011 Monsieur le Directeur EDF - CNPE du Tricastin BP 4009  Saint-Paul-Trois-Châteaux 26 131 PIERRELATTE CEDEX
Objet :
Inspection du CNPE du Tricastin (INB n° 87/88)
Identifiant de l'inspection : INSSN-LYO-2011-0833 (PINSN-0841)
Thème : Conduite accidentelle Réf. :
Loi n°2006-686 du 13 juin 2006 relative à la transparence et à la sécurité en matière nucléaire, notamment ses articles 4 et 40

## Monsieur Le Directeur,

Dans le cadre de ses attributions, l'Autorité de sûreté nucléaire (ASN) a procédé à une inspection réactive de votre établissement du Tricastin le 10 mai 2011 sur le thème « Conduite accidentelle ».

A la suite des constatations faites, à cette occasion, par les inspecteurs, j'ai l'honneur de vous communiquer ci-dessous la synthèse de l'inspection ainsi que les principales demandes et observations qui en résultent.

## Synthèse De L'Inspection

L'inspection réactive du 10 mai 2011 faisait suite à l'événement du 4 mai 2011, classé au niveau 1 de l'échelle INES, qui a affecté le réacteur n°1. Une défaillance sur le réseau d'alimentation électrique principal suivi d'un blocage d'un groupe de grappes de contrôle a conduit à arrêter manuellement le réacteur et à requérir l'alimentation électrique auxiliaire. Lors de la reconnexion de l'alimentation électrique principale, le cumul de deux anomalies a entraîné la mise en service automatique de l'injection de sécurité dont le débit a provoqué la montée en pression du circuit primaire. Cette montée en pression a entraîné l'ouverture à de multiples reprises d'une soupape de sûreté puis la rupture d'une membrane de protection contre les surpressions du réservoir de décharge du pressuriseur.

Les inspecteurs soulignent qu'un blocage de groupe grappes identique s'est déjà produit sur ce réacteur.

Entre autre, il ressort de cette inspection que l'exploitant n'a pas replié le réacteur immédiatement dans l'état prescrit dans les règles de « conduite incidentelle-accidentelle ». Il en est résulté un cumul de deux signaux d'alerte qui ont provoqué le déclenchement de l'injection de sécurité, dans un état de fonctionnement du réacteur qui ne disposait pas d'analyse de risque pertinente. A l'issue de cette inspection un constat d'écart notable a été relevé.

N/Réf. : CODEP-LYO-211-030035

## A.   Demandes D'Actions Correctives

La perte du réseau d'alimentation électrique principal a été gérée par une réduction de puissance obtenue par l'introduction dans le cœur du réacteur des grappes de compensation de puissance. Le blocage du groupe G2 de compensation de puissance a été partiellement corrigé par l'insertion du groupe de régulation de température jusqu'à un niveau très bas signalé par l'alarme RGL 20 AA qui prescrit d'effectuer l'arrêt manuel du réacteur, ce qui a été fait. La non-insertion du groupe G2 est liée à un problème de régulation qui s'est déjà manifesté à deux reprises au cours d'essais d'ilotage (octobre 2009 et octobre 2010) sur le réacteur n°1 depuis la visite décennale de 2009. Vous avez précisé aux inspecteurs que la mise en place de la modification PNXX 1681 sur le système de « contrôle commande » est suspectée être à l'origine de ce défaut récurrent de régulation. Cette même modification a été déployée sur le réacteur n°2 qui vient d'être recouplé au réseau après sa troisième visite décennale.

## 1.

Je vous demande de prendre sans délai les dispositions qui s'imposent :
pour mettre un terme aux blocages des grappes de régulation du réacteur n°1 ; pour que le même défaut ne se manifeste pas sur le réacteur n°2.

## Vous Me Communiquerez Le Résultat De Vos Actions Et Les Dispositions Prises.

Avant la perte du réseau RTE d'alimentation électrique principale, une activité de maintenance programmée était en cours sur un tableau de distribution électrique référencé LBF qui assure l'alimentation sans coupure par batteries, d'un tableau de distribution électrique référencé LND. Ce tableau LND alimente une des quatre voies du système de protection du réacteur. L'indisponibilité du tableau LBF provoque ainsi l'indisponibilité de l'alimentation sans coupure du tableau LND.

L'événement LB2 de groupe 2 « un redresseur indisponible » a été posé en salle de commande pour signaler directement l'indisponibilité du tableau électrique LBF et indirectement celle de l'alimentation sans coupure du tableau LND. L'événement LN1 de groupe 2 « une alimentation d'un tableau LN indisponible » plus explicite n'a pas été posé. Les inspecteurs ont bien noté que ces deux événements imposent la même conduite à tenir.

Après le retour du réseau RTE d'alimentation électrique principale et afin de revenir à une configuration normale d'exploitation, l'alimentation électrique du réacteur à partir du transformateur auxiliaire a été basculée vers le transformateur de soutirage de l'alimentation principale. Ce basculement d'alimentation électrique a été à l'origine d'une coupure électrique fugitive sur le tableau LND dont l'alimentation sans coupure par batteries était indisponible. Cette coupure fugitive a été à l'origine du signal d'injection de sécurité.

2.

## Je Vous Demande De Prendre Les Dispositions Pour Que Les Événements Liés Aux Interventions Provoquant L'Indisponibilité En Cascade D'Équipements Soient L Tous Clairement Individualisés Et Signalés Explicitement En Salle De Commande.

La maintenance programmée d'une chaîne de mesure de puissance nucléaire était à l'origine de son indisponibilité redevable de l'événement RPN8 de groupe 1. Cet événement, posé avant la perte du réseau d'alimentation électrique principal, était toujours présent après l'arrêt manuel du réacteur, lorsque l'alarme LGA 01 AA, entre autres, a fait entrer le réacteur en « conduite incidentelleaccidentelle » selon les prescriptions du chapitre IV des règles générales d'exploitation, pour un pilotage suivant les consignes « approche par état » (APE). Ce n'est qu'environ 15 mn plus tard, alors que le réacteur était toujours sous les consignes APE et que la règle de conduite ECP1 était toujours applicable, que vous avez levé l'événement RPN8 et avez validé le délai de 24h pour amorcer le repli en
« arrêt normal sur le circuit de refroidissement du réacteur à l'arrêt » (AN/RRA). Les inspecteuirs considèrent que cette stratégie était inappropriée. D'une part, la note d'étude ENFCR1050293 (annexe 2 p.12/13) et la note d'organisation D4002-46-SN94.CI 027 (p.11/22) de vos services centraux, précisent qu'en « conduite incidentelle-accidentelle » les exigences relatives à la
« conduite normale » ne sont plus applicables. D'autre part, la note d'étude ENS/FC/94/067 (p.6/24 règle 3) ainsi que le guide d'utilisation « CO » des consignes CPY (D4510 BEM EXP 06 0214 p.32/48),
spécifient qu'en cas d'indisponibilité de groupe 1 antérieure à l'entrée en « conduite incidentelleaccidentelle » toute demande de repli devient immédiate ce que confirme le logigramme « état de repli »
de la fiche Pr01 validité CPY (D4510 BEM EXP 05 0626 p.5/30). La démarche que vous avez entreprise pour lever l'événement RPN8 de groupe 1 relevant de la « conduite normale », dans une situation de « conduite incidentelle-accidentelle » alors que la règle de conduite ECP1 était en cours, puis appliquer un délai de 24h avant d'amorçer le repli du réacteur, est contraire aux règles qu'il vous était demandé de respecter dans la situation du réacteur n°1. Cet arbitrage pourrait conduire à penser que vous avez privilégié la compétitivité de l'installation (i.e. le redémarrage du réacteur) par rapport à la sûreté.

3.

Je vous demande, après une analyse des actions inappropriées qui ont été menées, de prendre les dispositions pour en éviter le renouvellement. Vous me communiquerez le résultat de vos actions et les dispositions prises.

4.

Je vous demande de mener pour cet événement une analyse de type « observatoire, sûreté, radioprotection, disponibilité, environnement » (OSRDE) et de m'en présenter les conclusions.

L'injection de sécurité dans le circuit primaire du réacteur n°1 s'est mise en service conformément aux protections automatiques liées au cumul de deux signaux : une coupure électrique fugitive sur le tableau de distribution électrique LND de la voie B au moment du basculement de transformateur d'alimentation électrique (auxiliaire /soutirage) simulant un signal de « haut débit vapeur », alors que la température moyenne du circuit primaire était inférieure à 280°C (seuil P12).

Le refroidissement du réacteur se faisait alors en thermosiphon, aucune pompe primaire n'étant en fonctionnement. En effet, vous aviez fait le choix de réalimenter le réacteur sur le transformateur de soutirage de l'alimentation électrique principale, alors que la séquence « stabilisation » de la règle EPC1 demande de démarrer la pompe primaire n°1 après atteinte du critère de température primaire requis
(température de sortie du cœur T ric < 292°C). Dans cette configuration en thermosiphon, le débit de l'injection de sécurité s'est établi à 80t/h provoquant après 3 mn de fonctionnement l'ouverture de la soupape de protection du circuit primaire, référencée RCP 020 VP. Elle a continué à s'ouvrir et se fermer pendant plus de 35 mn comme le soulignent les enregistrements présentés en inspection, provoquant la montée en pression du réservoir de décharge référencé RCP 002 BA puis la rupture d'une de ses membranes de protection contre les surpressions entraînant pendant 10 mn une fuite d'eau primaire dans le bâtiment réacteur avant que la soupape se ferme définitivement.

## 5. Je Vous Demande :

d'analyser le processus de montée en pression du circuit primaire ayant abouti à l'ouverture de la soupape RCP 020 VP, y compris l'incidence du fonctionnement en thermosiphon ou avec une pompe primaire démarrée ;
de prendre les dispositions pour qu'une analyse pertinente des risques liés à cette configuration soit établie et intégrée à vos documents opérationnels.

Vous me communiquerez le résultat de votre analyse, les actions qui seront menées et les dispositions prises.

La rupture d'une des deux membranes de protection contre les surpressions du réservoir de décharge du pressuriseur (RDP) référencé RCP 002 BA, a provoqué le déversement d'environ 10 m³ de fluide primaire et la contamination du sol sur trois niveaux du bâtiment réacteur (4,65 m ; 0,00 m et - 3,5 m).

Les cartographies de la contamination surfacique ont mis en évidences des zones à 60 Bq/cm². Lors de la visite de terrain les inspecteurs ont constaté :
que plusieurs interventions étaient en cours ou programmées sur ces niveaux. La décontamination n'étant pas terminée, le port d'équipements de protection individuelle était localement requis ;
que l'accès au local R341 où se situe le réservoir de décharge du pressuriseur, se faisait par deux accès dont l'un seulement était équipé d'un saut de zone avec les équipements de protection individuelle disponibles ;
que le contrôleur mains-pieds situé au sas 8m du bâtiment réacteur était indisponible depuis la veille ; ces contrôleurs sont dotés d'une alarme automatique en cas de dépassement d'un des seuils de contamination prédéfinis pour les mains et les pieds. Bien que des moyens de substitution aient été mis en places, à savoir des « MIP 10 », les contrôles d'absence de contamination radiologique réalisés sont moins rigoureux et laissés à l'interprétation de l'agent qui se contrôle ;
qu'au niveau - 3,50m le puisard RPE 011 PS ayant collecté les effluents sortis du réservoir de décharge du pressuriseur était partiellement rempli.

6.

Je vous demande :
de veiller à la cohérence des conditions d'accès aux chantiers et à la mise à disposition des protections individuelles prévues ; de veiller à ce que les équipements de détection de contamination mis en place de façon
-
palliative ne soient pas pérennisés ; de veiller au bon état de fonctionnement des puisards de collecte des effluents.

## B.   Compléments D'Information

Le tableau de distribution électrique LND est alimenté soit par le réseau via un autotransformateur, soit via une ligne sans coupure sur batteries. Le passage à l'alimentation électrique du réacteur par le transformateur de soutirage a entraîné une coupure fugitive de l'alimentation via l'autotransformateur du tableau de distribution LND sans que la voie sans coupure, indisponible pour travaux, puisse assurer la continuité de l'alimentation.

Les spécifications techniques d'exploitation précisent que l'indisponibilité d'une alimentation d'un tableau LN est redevable de l'événement LN1 de groupe 2 et que la réparation doit être effectuée sous 14 jours. Il n'est pas fait de distinction entre l'indisponibilité de l'alimentation via l'autotransformateur ou via la ligne sans coupure qui constitue la protection ultime contre les discontinuités d'alimentation fugitives ou non.

Je vous demande de questionner vos services centraux sur l'opportunité de distinguer dans 7.

## Les Spécifications Techniques D'Exploitation, Les Indisponibilités Des Voies Sans Coupure Ln Pour Ce Qui Est De La Conduite À Tenir.

La séquence « ouverture fermeture » de la soupape de protection du circuit primaire, référencée RCP 020 VP a été enregistré 52 fois pendant plus de 35 mn.

Vous avez précisé aux inspecteurs que cette soupape est restée dans son domaine de fonctionnement de conception et que ce transitoire, défini comme une situation de seconde catégorie, ne requièrt pas de requalifier cette soupape.

## 8. Je Vous Demande De Me Préciser :

les contraintes subies par la soupape référencée RCP 020 VP au cours de ce transitoire
'
justifiant le classement en seconde catégorie ;
les actions menées pour sa remise en état et les résultats obtenus.

La succession de séquences « ouverture fermeture » de la soupape de protection du circuit primaire, référencée RCP 020 VP pendant plus de 35 mn a provoqué la montée en pression du réservoir de décharge du pressuriseur référencé RCP 002 BA et la rupture d'une de ses deux membranes de protection contre les surpressions.

Vous avez précisé aux inspecteurs que le remplacement des deux membranes ainsi qu'un test hydropneumatique à 5,3 bars seront réalisés pour requalifier ce réservoir.

9.

Je vous demande de me rendre compte de votre analyse et des conséquences du transitoire qui a affecté le réservoir référencé RCP 002 BA, des actions menées pour sa remise en état et des résultats obtenus.

## Observations C.

C1. Les inspecteurs ont bien noté que vous prenez en compte le fait que le réservoir de décharge du pressuriseur référencée RPE 002 BA est un équipement sous pression nucléaire (ESPN) depuis janvier 2011 et que sa requalification est à réaliser dans ce cadre réglementaire. Vous voudrez bien me faire part de vos observations et réponses concernant ces points dans un délai qui n'excédera pas deux mois, sauf avis contraire.

Pour les engagements que vous seriez amené à prendre, je vous demande de bien vouloir les identifier clairement et d'en préciser, pour chacun, l'échéance de réalisation.

Je vous prie d'agréer, Monsieur le directeur, l'assurance de ma considération distinguée.

Pour le Président de l'Autorité de sûreté nucléaire et par délégation, le chef de division

## Signe : Grégoire  Deyirmendjian
